其他分享
首页 > 其他分享> > 网络安全从入门到精通(第九章-4) unserialize反序列化漏洞

网络安全从入门到精通(第九章-4) unserialize反序列化漏洞

作者:互联网

本文内容:


 

1,什么是反序列化:

  1.什么是序列化:

    是将对象的转台信息转换为可以存储或传输的形式的过程[将状态信息转换为字符串]。

  2.什么是反序列化:

    反序列化就是再将这个状态信息拿出来使用[将字符串转换为状态信息]。

  3.状态信息:

    对象、类、数组、变量、自定函数等。

  4.反序列化漏洞:

    可以任意控制反序列化处理的字符串,就是反序列化漏洞。

2,小技巧函数:

  1.__FILE__:获取当前文件路径。

  2.show_source():显示文件源码。

  3.print_r():可以输出非字符串,如对象,数组等。

  4.serialize:序列化,将对象状态信息转化为字符串。

  5.unserialize:反序列化,将字符串转化为对象的状态信息。

  举例:

    show_source(__FILE__) :查看当前文件的内容[源码]

    show_source("x.php") :查看x.php文件的内容[源码]

    serialize():将对象转变成字符串:   

      <?php
      show_source(__FILE__);
      class aa {
      var $b = '123';
      }
      $class1 = new aa; 新建对象
      $class1_ser=serialize($class1);  序列化
      var_dump($class1_ser);
      ?>

      运行结果:O:2:"aa":1:{s:1:"b";s:3:"123":}

      解释:

        O表示object对象。

        2表示对象的名称有2个字符。

        aa对象名称,1表示只有一个值

        s表示字符串1表示变量名字长度

        s表示字符串3表示变量值的长度

    unserialize():可以从序列化后的结果中恢复对象[object]。    

      <?php
      show_source(__FILE__);
      class aa {
      var $b = '123';
      }
      $class2 = 'O:2:"aa":1:{s:1:"b";s:3:"124";}' ;
      $class2_ser=unserialize($class2);  反序列化
      var_dump($class2_ser);
      ?>

      运行结果:aa Object([b] => 124)

3,魔术方法和反序列化利用:

  1.__construct():当对床创建[new]时会自动调用,但是在unserialize()时是不会调用的。

  2.__destruct():当对象被销毁时会自动调用。

  3.__wankeup():如前所提:unserialize()时自动调用。

注意:

本质上serialize()和unserialize()在php内部实现上是没有漏洞的,漏洞的主要产生是由于应用程序在处理对象、魔术函数以及序列化相关问题的时候导致的。 

当unserialize()的参数可控时,那么用户就可以注入精心构造的payload,当进行反序列化的时候就有可能会触发对象中的一些魔术方法,造成意想不到的危害。

 

标签:网络安全,__,aa,对象,unserialize,字符串,序列化
来源: https://www.cnblogs.com/xz25/p/12765911.html